OT-Netzwerksegmentierung und Mikrosegmentierung: Ein Praxisleitfaden

01Wichtigste Erkenntnisse

1. 01

   Segmentierung teilt ein OT-Netz in kontrollierte Gruppen, sodass der Verkehr zwischen ihnen durch einen Durchsetzungspunkt gezwungen wird, den Sie inspizieren, protokollieren und verweigern können.

2. 02

   Mikrosegmentierung dehnt die Kontrolle auf den Ost-West-Verkehr zwischen Assets innerhalb einer Zone aus, also genau dorthin, wo laterale Bewegung nach einem ersten Fußfassen stattfindet.

3. 03

   Ein VLAN ist ein Baustein der Segmentierung, für sich genommen jedoch keine Sicherheitsgrenze; ohne einen Richtlinienpunkt zwischen den VLANs bleibt die Trennung rein logisch.

4. 04

   Deny-by-Default ist das Betriebsprinzip, das Segmentierung real macht: Definieren Sie die wenigen Flüsse, die die Produktion benötigt, erlauben Sie diese und blockieren Sie den Rest.

5. 05

   Für reine Veröffentlichungsgrenzen, etwa den Export von Telemetrie oder Backups, entfernt unidirektionale Übertragung den Rückkanal, den eine Segmentierungsrichtlinie nur einschränken kann.

02Was OT-Netzwerksegmentierung wirklich bedeutet

OT-Netzwerksegmentierung ist die Praxis, ein Industrienetz in getrennte Gruppen aufzuteilen und den Verkehr zwischen diesen Gruppen durch einen Kontrollpunkt zu zwingen. Dieser Kontrollpunkt ist üblicherweise eine Firewall, ein Layer-3-Switch mit Zugriffskontrolle oder ein Gateway. Entscheidend ist die Durchsetzung: Wenn zwei Gruppen einander nur über ein Gerät erreichen können, das eine Richtlinie anwendet, können Sie entscheiden, was erlaubt ist, und nachweisen, was übertragen wurde.

Ohne Segmentierung verhält sich ein Steuerungsnetz wie eine einzige große Broadcast-Domäne, in der jedes Gerät mit jedem anderen sprechen kann. Das ist bequem für das Engineering und verheerend für die Eindämmung. Eine einzige kompromittierte Workstation, ein verwundbares HMI oder ein Wurm, der nach offenen Ports scannt, kann den gesamten Bestand erreichen, weil nichts zwischen den Assets steht.

Kurz gesagt: Bei Segmentierung geht es darum, wo der Verkehr gezwungen wird anzuhalten und geprüft zu werden. Wenn zwei Systeme einander erreichen können, ohne einen Richtlinienpunkt zu passieren, sind sie nicht voneinander segmentiert, ganz gleich, wie das Netzwerkdiagramm gezeichnet ist.

03Makrosegmentierung vs. Mikrosegmentierung

Die meisten OT-Programme beginnen mit Makrosegmentierung: große Zonen wie das Unternehmensnetz, eine industrielle DMZ, die Leitebene und die Steuerungsebene. Diese groben Grenzen bilden sich natürlich auf Referenzarchitekturen ab und sind das Erste, wonach ein Prüfer sucht. Sie sind notwendig, lassen aber große flache Räume innerhalb jeder Zone bestehen.

Mikrosegmentierung kontrolliert den Verkehr innerhalb dieser Zonen. Sie beschränkt, welche SPS mit welchen HMIs sprechen dürfen, welche Engineering-Workstations welche Controller erreichen dürfen und welche Assets welche Protokolle sprechen dürfen. Dies ist der Verkehr, der sich Ost-West, von Peer zu Peer, bewegt, und es ist der Verkehr, auf den sich Angreifer verlassen, nachdem sie ein erstes Fußfassen erlangt haben. Grobe Zonen tun nichts, um ein kompromittiertes HMI daran zu hindern, einen Controller zu erreichen, der im selben Subnetz direkt daneben liegt.

Makrosegmentierung

Trennung zwischen großen Zonen wie IT, industrieller DMZ, Leitsystemen und Steuerungssystemen. Verhindert Nord-Süd-Übergänge zwischen Vertrauensebenen.

Mikrosegmentierung

Trennung zwischen einzelnen Assets oder kleinen Funktionszellen innerhalb einer Zone. Verhindert laterale Ost-West-Bewegung, die niemals eine Zonengrenze überschreitet.

Ost-West-Verkehr

Kommunikation zwischen Peers auf derselben Ebene, etwa HMI zu SPS oder SPS zu SPS, statt auf- und abwärts zwischen Vertrauensebenen.

04Warum Segmentierung zählt: laterale Bewegung und Schadensradius

Die meisten schädlichen OT-Vorfälle beinhalten Bewegung nach der ersten Kompromittierung. Ein Angreifer landet selten direkt auf einem Sicherheitscontroller. Er landet auf einem exponierten Jump-Host, einem per Phishing erbeuteten Engineering-Laptop oder einem internetseitigen Dienst und bewegt sich dann seitwärts auf Systeme zu, die zählen. Segmentierung ist die Kontrolle, die entscheidet, wie weit diese Bewegung reichen kann.

MITRE ATT&CK for ICS katalogisiert dieses Verhalten unmittelbar. Techniken wie Lateral Tool Transfer, die Ausnutzung von Remote-Diensten und die Verwendung gültiger Konten sind auf erreichbare Pfade zwischen Assets angewiesen. Wenn ein kompromittiertes HMI keine Sitzung zu einem Controller aufbauen kann, weil ein Richtlinienpunkt dies verweigert, scheitern mehrere dieser Techniken schlicht auf der Netzwerkebene.

Der andere Grund ist der Schadensradius. Ransomware, die IT-Netze traf, ist wiederholt in die OT übergeschwappt, weil beide flach zueinander waren. Die Abschaltung der Colonial Pipeline 2021 war eine geschäftsseitige Entscheidung, den Betrieb anzuhalten, unter anderem weil die Betreiber nicht sicher sein konnten, dass die Schadsoftware nicht übergesprungen war. Starke Segmentierung macht aus einem anlagenweiten Ereignis ein eingedämmtes und macht diese Sicherheit vertretbar.

05Wie Segmentierung durchgesetzt wird: VLANs, Firewalls und Gateways

Segmentierung wird durch einen Stapel von Mechanismen durchgesetzt, und diese zu verwechseln ist ein häufiger Fehler. Ein VLAN trennt Broadcast-Domänen auf Layer 2. Es ist ein nützlicher Baustein, aber zwei VLANs auf demselben Switch bieten keine Sicherheitsgrenze, solange der Verkehr zwischen ihnen nicht über ein Gerät geroutet wird, das eine Richtlinie anwendet. VLANs organisieren das Netz; sie setzen für sich genommen nicht durch, wer mit wem sprechen darf.

Die Durchsetzung geschieht auf Layer 3 und darüber. Eine OT-fähige Firewall zwischen Zonen kann bestimmte Quell- und Zielpaare zulassen, industrielle Protokolle wie Modbus/TCP, EtherNet/IP, OPC UA und DNP3 inspizieren und jede Sitzung protokollieren. Innerhalb einer Zone kann Mikrosegmentierung durch hostbasierte Richtlinien, Access Control Lists auf Switches, Private VLANs oder identitätsbewusste Gateways durchgesetzt werden, die den Verkehr pro Asset statt pro Subnetz steuern.

• Layer 2 (VLANs, Private VLANs): trennen Broadcast-Domänen und isolieren Ports, benötigen aber einen Richtlinienpunkt zwischen sich, um wirksam zu sein.
• Layer 3 (geroutete ACLs, OT-Firewalls): erlauben oder verweigern nach Adresse, Port und Richtung zwischen Zonen und Conduits.
• Anwendungsebene (protokollbewusste Firewalls, Deep Packet Inspection): lassen nur gültige industrielle Protokollfunktionen zu, etwa reinen Lese-Modbus, wo keine Schreibvorgänge benötigt werden.
• Host- und Identitätsebene (Mikrosegmentierungs-Agenten, NAC): steuern Ost-West-Verkehr pro Asset oder pro Workload, unabhängig von der physischen Topologie.

06Deny-by-Default: das Prinzip, das es real macht

Segmentierung liefert nur dann Wert, wenn die Standardantwort Nein lautet. Eine Deny-by-Default-Haltung bedeutet, dass die Firewall oder das Gateway alles blockiert, was nicht ausdrücklich erlaubt ist. Sie zählen dann die kleine Menge an Flüssen auf, die die Produktion tatsächlich benötigt, schreiben Regeln für genau diese und lassen den Rest verweigert. Dies ist das Gegenteil der permissiven Standardeinstellung, mit der flache OT-Netze aufgewachsen sind.

Der praktische Vorteil von Deny-by-Default in der OT ist, dass legitime Flüsse überraschend wenige und stabil sind. Ein Controller spricht mit einem bekannten HMI über ein bekanntes Protokoll; ein Historian fragt bekannte Quellen ab; eine Engineering-Station erreicht ihre zugewiesenen SPS während der Wartung. Sobald diese als Baseline erfasst sind, wird alles andere, etwa eine Workstation, die plötzlich das Steuerungssubnetz scannt, sowohl verweigert als auch als Anomalie sichtbar.

Ein nützlicher Test für jedes Segmentierungsdesign: Wenn Sie die genauen Flüsse nicht auflisten können, die eine Zone senden und empfangen darf, ist die Zone nicht segmentiert, sondern lediglich beschriftet. Durchsetzung ist die Positivliste, die Sie auf Anforderung vorlegen können, nicht das Diagramm an der Wand.

07Zuordnung zu Zonen, Conduits und den Standards

Segmentierung ist die technische Praxis; die Standards geben ihr Struktur und Sprache. ISA/IEC 62443 rahmt ein Industrienetz als Zonen (Gruppen von Assets mit gemeinsamen Sicherheitsanforderungen), die durch Conduits (die kontrollierten Kommunikationspfade zwischen ihnen) verbunden sind. Mikrosegmentierung bedeutet im Grunde, kleinere Zonen und engere Conduits zu definieren. Der Standard erwartet, dass jeder Conduit einen definierten Zweck und ein Ziel-Sicherheitsniveau hat.

NIST SP 800-82 Rev. 3 empfiehlt Netzwerksegmentierung und -isolierung als eine zentrale OT-Kontrolle und verweist auf Defense-in-Depth statt auf einen einzigen Perimeter. Die sektorübergreifende Anleitung der CISA und ihr Material zur ICS-Defense-in-Depth vertreten denselben Standpunkt: nach Funktion und Konsequenz segmentieren, dann die Conduits kontrollieren. Keines dieser Dokumente behandelt einen VLAN-Tag als Grenze; sie behandeln den durchgesetzten Conduit als Grenze.

Zone

Eine Gruppierung von Assets, die Sicherheitsanforderungen und eine Vertrauensebene teilen. Segmentierung schafft Zonen; Mikrosegmentierung schafft kleinere.

Conduit

Der kontrollierte Pfad zwischen Zonen. Jeder erlaubte Fluss läuft über einen Conduit mit definiertem Zweck, definierter Richtung und definiertem Schutzniveau.

Sicherheitsniveau

Die in 62443 definierte Zielfähigkeit für eine Zone oder einen Conduit, mit der entschieden wird, wie stark die durchsetzende Kontrolle sein muss.

08Eine praktische Abfolge zur Segmentierung eines OT-Netzes

Segmentierungsprojekte scheitern, wenn sie mit Hardwarekäufen statt mit Wissen beginnen. Sie können keine Deny-by-Default-Regeln für Verkehr schreiben, den Sie nicht beobachtet haben. Die verlässliche Abfolge besteht darin, zuerst das Netz zu verstehen und dann stufenweise durchzusetzen, wobei bei jedem Schritt das Produktionsverhalten validiert wird, bevor weiter verschärft wird.

• Erstellen Sie ein Asset-Inventar und kartieren Sie die tatsächliche Kommunikation passiv, damit Sie wissen, was mit was spricht, bevor Sie etwas ändern.
• Gruppieren Sie Assets nach Funktion und Konsequenz in Zonen, nicht nach physischem Standort oder danach, was zufällig heute einen Switch teilt.
• Definieren Sie Conduits: Listen Sie für jedes Zonenpaar, das kommunizieren muss, die genau erforderlichen Protokolle, Ports und die Richtung auf.
• Setzen Sie zuerst die Makrosegmentierung mit OT-fähigen Firewalls zwischen den Zonen durch, im Monitor-Modus vor dem Deny-Modus.
• Führen Sie Mikrosegmentierung innerhalb der Zonen mit den höchsten Konsequenzen ein und beschränken Sie den Ost-West-Verkehr zwischen Zellen und einzelnen Assets.
• Wechseln Sie zu Deny-by-Default, sobald die Flüsse als Baseline erfasst sind, und führen Sie einen Ausnahmeprozess mit Ablaufdaten, damit temporäre Regeln nicht dauerhaft werden.

Behandeln Sie durchweg den Monitor-Modus als Geschenk, nicht als Verzögerung. Neue Regeln im reinen Alarm-Modus laufen zu lassen, bringt die undokumentierten Flüsse zutage, die jede Bestandsanlage hat, und lässt Sie diese beheben, bevor sie einen Ausfall verursachen. Direkt zur Durchsetzung überzugehen, ist der schnellste Weg, das Vertrauen des Betriebs in das gesamte Programm zu verlieren.

09Häufige Fallstricke und wie Segmentierung still erodiert

Die meiste Segmentierung scheitert nicht zur Entwurfszeit. Sie erodiert über Jahre operativen Drucks, bei dem jede einzelne Ausnahme vernünftig erscheint und die kumulative Wirkung ein flaches Netz ist, das ein segmentiertes Diagramm trägt. Die Ausfallmuster zu kennen, hilft Ihnen, dagegen zu entwerfen.

• VLANs als Grenze behandeln, ohne dass tatsächlich ein Richtliniengerät zwischen ihnen routet und filtert.
• Any-Any- oder zu breit gefasste Regeln, die während der Inbetriebnahme hinzugefügt und nach der Stabilisierung der Produktion nie verschärft werden.
• Dauerhafte Anbieter- oder Fernzugriffsausnahmen, die für ein Wartungsfenster geöffnet und nie geschlossen wurden.
• Dual-homed Engineering-Workstations oder Jump-Hosts, die zwei Zonen überbrücken und die Grenze still aushebeln.
• Vergessene Management-, Syslog- oder Backup-Verbindungen, die Erreichbarkeit wieder einführen, die die Segmentierung entfernen sollte.
• Mikrosegmentierungsregeln, die nie überprüft werden, sodass die Berechtigungen eines stillgelegten Assets als Angriffspfad weiterleben.

Die Verteidigung ist Governance, nicht nur Technik: Jede Regel hat einen Eigentümer und einen Zweck, Ausnahmen tragen Ablaufdaten, und die Regelbasis wird planmäßig gegen das Asset-Inventar überprüft. Ein Segmentierungsdesign ohne Wartungsdisziplin fällt innerhalb weniger Jahre wieder in einen flachen Zustand zurück.

10Wo unidirektionale Übertragung und Expositionsreduzierung hineinpassen

Firewalls und Mikrosegmentierung beschränken die Erreichbarkeit per Richtlinie, und das ist das richtige Werkzeug für Grenzen, die einen kontrollierten wechselseitigen Austausch benötigen. Manche Conduits müssen jedoch immer nur Daten nach außen tragen: Telemetrie zu einer Historian-Replik, Logs zu einem SOC, Backups zu einem Wiederherstellungsstandort, Produktionszahlen an das Unternehmensreporting. Für diese kann die Richtlinie den Rückkanal einschränken, doch der Pfad existiert physisch weiterhin und hängt davon ab, dass die Konfiguration korrekt bleibt.

Eine Datendiode ändert das. Sie erzwingt einen unidirektionalen Datenfluss in Hardware, sodass das Ziel über diesen Conduit keinen Rückweg in die geschützte Zone hat. In Segmentierungsbegriffen ist sie der stärkstmögliche Conduit für einen reinen Veröffentlichungsfluss: Es gibt nichts, was man versehentlich in Bidirektionalität konfigurieren könnte, und Regelwucherung kann den Rückkanal nicht wieder öffnen. Sie ist eine Kontrolle unter vielen, kein Ersatz für Segmentierung, aber sie beseitigt eine Risikoklasse, die Firewalls nur verwalten können. Teams, die Optionen vergleichen, bewerten oft ein kontrolliertes unidirektionales Konnektivitätsmuster neben Firewall-Conduits und Mikrosegmentierung.

Entscheidungsregel für einen Conduit: Wenn der Fluss ein Gespräch benötigt, verwenden Sie einen Firewall-Conduit und mikrosegmentieren Sie darum herum. Wenn der Fluss nur veröffentlichen muss, bewerten Sie unidirektionale Übertragung, damit der Rückkanal gar nicht erst existiert, um ausgenutzt zu werden.

11Eine Roadmap, kein Projekt

Segmentierung ist selten abgeschlossen. Der Asset-Bestand ändert sich, neue Conduits werden angefordert, und die Deny-by-Default-Regelbasis des Vorjahres driftet unter operativem Druck ab. Die Organisationen, die ihre Netze segmentiert halten, behandeln dies als fortlaufende Fähigkeit mit Eigentümern, Überprüfungen und Kennzahlen, nicht als einmalige Installation, die abgenommen und vergessen wird.

Beginnen Sie dort, wo die Konsequenz am höchsten und die Erreichbarkeit am weitesten ist, üblicherweise die Grenze zwischen IT und OT sowie die kritischsten Steuerungszellen. Setzen Sie dort zuerst die Makrosegmentierung durch und lassen Sie Deny-by-Default laufen, treiben Sie dann die Mikrosegmentierung nach innen und die unidirektionale Übertragung auf die reinen Veröffentlichungs-Conduits. Messen Sie den Fortschritt daran, wie kurz und erklärbar Ihre Positivlisten sind und wie schnell Sie die Frage beantworten können, die jeder Regulierer und Incident Responder irgendwann stellt: Was genau darf mit diesem Asset sprechen?

FAQHäufig gestellte Fragen

SRCQuellen